اتفاقية معالجة البيانات

تُعدّ اتفاقية معالجة البيانات هذه («الاتفاقية») جزءًا من شروط الخدمة المبرمة بين Ajansify («Ajansify» أو «نحن») والعميل الذي يستخدم خدمة Ajansify («العميل» أو «أنتم»). وتسري كلما عالج Ajansify البيانات الشخصية للعميل نيابةً عنه. وبقبول الشروط، يقبل العميل هذه الاتفاقية؛ ولا حاجة إلى توقيع منفصل. وتستوفي هذه الاتفاقية متطلبات المادة 28 من اللائحة العامة لحماية البيانات (GDPR)، والمادة 28 من اللائحة العامة لحماية البيانات في المملكة المتحدة (UK GDPR)، والمادة 12 من قانون حماية البيانات الشخصية التركي رقم 6698 (KVKK).

1. التعريفات

• قانون حماية البيانات المعمول به: قانون KVKK، واللائحة العامة لحماية البيانات (GDPR)، واللائحة العامة لحماية البيانات في المملكة المتحدة (UK GDPR)، وأي قانون آخر لحماية البيانات يسري على المعالجة.
• البيانات الشخصية للعميل: البيانات الشخصية الواردة في المحتوى الذي يرفعه العميل أو مستخدموه إلى الخدمة أو ينشئونه فيها أو يربطونه بها، والتي يعالجها Ajansify نيابةً عن العميل (الملحق (أ)).
• المعالج الفرعي: طرف ثالث يستعين به Ajansify لمعالجة البيانات الشخصية للعميل.
• خرق البيانات الشخصية: خرق أمني يؤدي إلى إتلاف البيانات الشخصية للعميل أو فقدانها أو تعديلها بصورة عرضية أو غير مشروعة، أو إلى الإفصاح عنها أو الوصول إليها دون تصريح.
• البنود التعاقدية القياسية (SCCs): البنود التعاقدية القياسية الملحقة بقرار المفوضية التنفيذي (الاتحاد الأوروبي) 2021/914.
• يكون للمصطلحات الأخرى، مثل المتحكم في البيانات ومعالج البيانات وصاحب البيانات والمعالجة، المعنى المحدد لها في قانون حماية البيانات المعمول به. وبموجب قانون KVKK، يقابل المتحكم في البيانات مصطلح "veri sorumlusu"، ويقابل معالج البيانات مصطلح "veri işleyen".

2. الأدوار والنطاق

• يكون العميل هو المتحكم في البيانات الشخصية للعميل، أو معالجًا يعمل لحساب متحكم آخر. ويكون Ajansify معالج البيانات لدى العميل، أو معالجًا فرعيًا.
• إذا كان العميل معالجًا، فإنه يؤكد أن المتحكم التابع له قد أذن بتعليمات العميل، بما في ذلك استخدام Ajansify ومعالجيه الفرعيين.
• يكون Ajansify متحكمًا في البيانات، لا معالجًا، فيما يتعلق ببيانات الحساب والفوترة والأمان والتسويق وملفات تعريف الارتباط وتشغيل الخدمة. وتخضع تلك المعالجة لأحكام سياسة الخصوصية الخاصة بنا، لا لهذه الاتفاقية.

3. تفاصيل المعالجة

يبيّن الملحق (أ) موضوع المعالجة ومدتها وطبيعتها والغرض منها، وأنواع البيانات الشخصية وفئات أصحاب البيانات.

4. المعالجة بناءً على تعليمات موثقة

• لا يعالج Ajansify البيانات الشخصية للعميل إلا بناءً على تعليمات العميل الموثقة. وتتمثل هذه التعليمات في الشروط، وهذه الاتفاقية، واستخدام العميل للخدمة وإعداداته فيها، على سبيل المثال إنشاء المحتوى، وربط الخدمات، والنشر، والحفظ في التخزين السحابي، والمشاركة عبر الروابط العامة، ودعوة أعضاء الفريق.
• يجب أن تكون التعليمات الإضافية مكتوبة ومتسقة مع الشروط.
• نُعلم العميل دون تأخير إذا رأينا أن تعليمات ما تنتهك قانون حماية البيانات المعمول به، ويجوز لنا تعليق تلك المعالجة إلى أن يتم تأكيد التعليمات أو تغييرها.
• إذا ألزمنا القانون بمعالجة البيانات الشخصية للعميل على نحو مختلف، نُعلم العميل بذلك مسبقًا، ما لم يحظر القانون ذلك.
• لا نستخدم البيانات الشخصية للعميل لأغراضنا الخاصة، إلا للحفاظ على أمان الخدمة ومنع الاحتيال وإساءة الاستخدام، ولإعداد إحصاءات مجمّعة أو مجهولة الهوية لا تحدد هوية العميل أو أي شخص. ولا نبيع البيانات الشخصية للعميل، ولا نستخدمها للإعلان، ولا نستخدمها لتدريب نماذج الذكاء الاصطناعي الخاصة بنا، ولا نسمح لمزودي الذكاء الاصطناعي باستخدامها لتدريب نماذجهم العامة.

5. التزامات العميل

يؤكد العميل ما يلي ويتحمل المسؤولية عنه:

• أن لديه أساسًا قانونيًا للمعالجة، بما في ذلك لإرسال البيانات الشخصية للعميل إلى Ajansify ومعالجيه الفرعيين ومزودي الذكاء الاصطناعي الذين ينفذون المهام؛
• أنه قدّم الإشعارات المطلوبة إلى أصحاب البيانات، بما في ذلك الإشعارات المتعلقة بالبيانات التي لم يُحصل عليها منهم مباشرةً (المادة 14 من GDPR، والمادة 10 من KVKK)، على سبيل المثال لأصحاب التقييمات، والأشخاص الظاهرين في الصور، وعملائه أنفسهم؛
• أنه حصل على موافقة أو إذن الأشخاص الظاهرين في الصور ومقاطع الفيديو والأشخاص الذين تُستخدم أصواتهم، حيثما يقتضي القانون ذلك، بما في ذلك لميزات مزامنة حركة الشفاه والصوت ومحاكاة الهيئة بالذكاء الاصطناعي؛
• أنه لا يرفع فئات خاصة من البيانات الشخصية أو بيانات الأطفال ما لم يكن ذلك مشروعًا وضروريًا ويطبّق الضمانات المطلوبة، وفقًا لأحكام سياسة الذكاء الاصطناعي والاستخدام المقبول الخاصة بنا؛
• أن تعليماته متوافقة مع القانون؛
• أنه مسؤول عن اختياره لخدمات الأطراف الثالثة المرتبطة واستخدامه لها (أدوات النشر، والتخزين السحابي، وGoogle Business Profile). فهذه الخدمات يختارها العميل، وليست من المعالجين الفرعيين لدى Ajansify؛
• أنه مسؤول عن مراجعة المحتوى المُنشأ بالذكاء الاصطناعي ووسمه، وعن المحتوى الذي ينشره.

6. السرية

يضمن Ajansify أن الأشخاص المصرح لهم بمعالجة البيانات الشخصية للعميل ملتزمون بالسرية، وأنهم لا يصلون إليها إلا بالقدر الذي يحتاجون إليه لأداء عملهم.

7. الأمان

• ينفذ Ajansify تدابير تقنية وتنظيمية مناسبة بموجب المادة 32 من GDPR والمادة 12 من KVKK، على النحو المبيّن في الملحق (ب).
• يجوز لنا تحديث هذه التدابير، شريطة ألا ينخفض المستوى العام للحماية.
• يتحمل العميل مسؤولية أمان حسابه، بما في ذلك كلمات المرور وصلاحيات الفريق والروابط العامة التي ينشئها.

8. المعالجون الفرعيون

• يمنح العميل Ajansify إذنًا عامًا بالاستعانة بالمعالجين الفرعيين المدرجين في صفحة مزودو الخدمات والمعالجون الفرعيون.
• قبل إضافة معالج فرعي أو استبداله، نحدّث تلك القائمة ونُخطر العميل عبر البريد الإلكتروني أو داخل التطبيق قبل 30 يومًا على الأقل حيثما أمكن. وفي الحالات العاجلة، مثل دواعي الأمان أو استمرارية الخدمة، نُخطره في أقرب وقت ممكن.
• يجوز للعميل الاعتراض كتابيًا على [email protected] خلال مهلة الإخطار، لأسباب معقولة تتعلق بحماية البيانات. وسنناقش الاعتراض بحسن نية. وإذا تعذّر علينا حله، يجوز للعميل التوقف عن استخدام الخدمة المتأثرة بإلغاء اشتراكه قبل سريان التغيير، وفقًا للشروط ودون الإخلال بحقوقه القانونية الآمرة.
• نفرض على كل معالج فرعي، بموجب عقد مكتوب، التزامات بحماية البيانات لا تقل حمايةً عن هذه الاتفاقية. ويظل Ajansify مسؤولًا أمام العميل عن أداء معالجيه الفرعيين.

9. المساعدة في طلبات أصحاب البيانات

• تتيح الخدمة للعميل عرض المحتوى وتصحيحه وحذفه وتصديره، وإلغاء ربط الخدمات، مما يساعده على الرد على طلبات أصحاب البيانات.
• إذا تلقينا طلبًا مباشرًا بشأن البيانات الشخصية للعميل، نحيله إلى العميل دون تأخير غير مبرر، ولا نرد عليه بأنفسنا إلا لتوجيه الشخص إلى العميل، ما لم يقتضِ القانون خلاف ذلك.
• نقدم مساعدة معقولة إضافية، مع مراعاة طبيعة المعالجة.

10. تقييمات الأثر والتشاور المسبق

نقدم معلومات ومساعدة معقولة لتقييمات أثر حماية البيانات التي يجريها العميل وللتشاور المسبق مع السلطات الرقابية، بقدر ما يتعلق ذلك بمعالجتنا. ونقوم بذلك أساسًا من خلال هذه الاتفاقية والملحق (ب) وقائمة المعالجين الفرعيين.

11. خرق البيانات الشخصية

• نُخطر العميل دون تأخير غير مبرر بعد علمنا بأي خرق للبيانات الشخصية يمس البيانات الشخصية للعميل. ونسعى إلى القيام بذلك خلال 48 ساعة.
• يتضمن الإخطار، بالقدر المعروف: طبيعة الخرق، وفئات أصحاب البيانات والسجلات المعنية وعددها التقريبي، والعواقب المحتملة، والتدابير المتخذة أو المقترحة، وجهة اتصال. ويجوز تقديم المعلومات على مراحل.
• نتخذ خطوات معقولة لاحتواء الخرق والحد من آثاره.
• يقرر العميل أي إخطارات للسلطات الرقابية ولأصحاب البيانات ويتولى إجراءها؛ ونقدم له المساعدة. ولا يُعدّ الإخطار إقرارًا بالخطأ.
• نرسل الإخطارات إلى عنوان البريد الإلكتروني لصاحب الحساب، وقد نعرضها أيضًا داخل التطبيق.

12. الإعادة والحذف

• ما دام الاشتراك نشطًا، يمكن للعميل تصدير محتواه باستخدام وظائف الخدمة.
• بعد انتهاء الشروط أو إغلاق الحساب، تُتاح للعميل مهلة 30 يومًا لتصدير محتواه. ثم نحذف البيانات الشخصية للعميل من أنظمتنا النشطة. وتُحذف النسخ الموجودة في النسخ الاحتياطية ضمن دورة النسخ الاحتياطي المعتادة، خلال 90 يومًا من الإغلاق كحد أقصى، ولا تخضع لأي معالجة فعلية في أثناء ذلك.
• إذا ألزمنا القانون بالاحتفاظ ببعض البيانات، فلا نحتفظ بها إلا طوال المدة المطلوبة ونحميها.
• نؤكد الحذف كتابيًا عند الطلب.
• المحتوى الذي حفظه العميل في تخزينه السحابي الخاص أو نشره عبر الخدمات المرتبطة يقع خارج أنظمتنا، ولا نحذفه نحن.

13. التدقيق

• نتيح المعلومات اللازمة لإثبات الامتثال لهذه الاتفاقية: هذه الاتفاقية، والملحق (ب)، وقائمة المعالجين الفرعيين، وإجابات مكتوبة عن استبيان أمني معقول مرة كل 12 شهرًا.
• إذا لم تكن هذه المعلومات كافية، أو طلبت ذلك سلطة رقابية، أو بعد وقوع خرق للبيانات الشخصية، يجوز للعميل إجراء تدقيق، بما في ذلك التدقيق في الموقع. ويجب على العميل تقديم إخطار مسبق قبل 30 يومًا، ويُجرى التدقيق خلال ساعات العمل، بحد أقصى مرة واحدة كل 12 شهرًا (إلا إذا طلبته سلطة رسمية أو بعد وقوع خرق). ويجريه العميل أو مدقق مستقل ملتزم بالسرية وليس من منافسينا. ويتحمل العميل تكاليفه الخاصة. ويجب ألا يُعطّل التدقيق عملياتنا أو يتيح الوصول إلى بيانات العملاء الآخرين.
• يُغطّى تدقيق مرافق المعالجين الفرعيين، مثل مراكز البيانات، بتقارير التدقيق أو الشهادات الخاصة بالمعالجين الفرعيين أنفسهم حيثما توفرت.

14. النقل الدولي

• تُستضاف البيانات الشخصية للعميل في ألمانيا (الاتحاد الأوروبي). ويقع مقر Ajansify في تركيا، ويوجد بعض المعالجين الفرعيين في الولايات المتحدة أو يعملون على نطاق عالمي.
• الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية. حيثما تنطوي المعالجة على نقل للبيانات الشخصية للعميل من الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية إلى بلد لم يصدر بشأنه قرار كفاية، تُدرج البنود التعاقدية القياسية بالإحالة: الوحدة 2 (من المتحكم إلى المعالج) حيثما يكون العميل متحكمًا، والوحدة 3 (من المعالج إلى المعالج) حيثما يكون العميل معالجًا. ويكون العميل هو مُصدّر البيانات، وAjansify هو مستورد البيانات. ولأغراض البنود التعاقدية القياسية: يسري البند 7 (بند الانضمام)؛ وبموجب البند 9(a)، يسري الخيار 2 (الإذن العام) مع مهلة الإخطار المبيّنة في البند 8 من هذه الاتفاقية؛ ولا تسري الصيغة الاختيارية الواردة في البند 11؛ وبموجب البند 13، تكون السلطة الرقابية المختصة هي سلطة الدولة العضو التي يقع فيها مقر العميل، أو، إذا لم يكن مقره في الاتحاد الأوروبي، سلطة الدولة التي يوجد فيها ممثله أو التي يوجد فيها أصحاب البيانات؛ وبموجب البند 17، يسري الخيار 2، وتخضع البنود التعاقدية القياسية لقانون الدولة العضو التي يقع فيها مقر العميل، أو، إذا كان ذلك القانون لا يجيز حقوق الطرف الثالث المستفيد أو لم يكن مقر العميل في الاتحاد الأوروبي، لقانون أيرلندا؛ وبموجب البند 18، تُسوّى النزاعات أمام محاكم تلك الدولة العضو. ويُستكمل الملحق الأول من البنود التعاقدية القياسية بالملحق (أ)، والملحق الثاني بالملحق (ب)، والملحق الثالث بقائمة المعالجين الفرعيين.
• إذا اعتمدت المفوضية الأوروبية بنودًا تعاقدية قياسية للمستوردين الخاضعين هم أنفسهم للائحة العامة لحماية البيانات (GDPR)، فستسري تلك البنود بدلًا من البنود التعاقدية القياسية المذكورة أعلاه. وإلى حين ذلك، تسري البنود التعاقدية القياسية بالقدر المنطبق، إلى جانب التدابير الواردة في الملحق (ب).
• يستند النقل اللاحق إلى المعالجين الفرعيين في بلدان ثالثة إلى إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة (EU-US Data Privacy Framework) إذا كان المعالج الفرعي معتمدًا بموجبه، وإلا فإلى البنود التعاقدية القياسية.
• المملكة المتحدة. بالنسبة إلى عمليات النقل الخاضعة للائحة العامة لحماية البيانات في المملكة المتحدة (UK GDPR)، يُدرج ملحق النقل الدولي للبيانات (International Data Transfer Addendum) إلى البنود التعاقدية القياسية للاتحاد الأوروبي، الصادر عن مفوض المعلومات في المملكة المتحدة، ويُستكمل بالمعلومات الواردة في هذه الاتفاقية.
• تركيا. يجري نقل البيانات الشخصية للعميل إلى الخارج بموجب العقود القياسية المنصوص عليها في اللائحة المتعلقة بإجراءات ومبادئ نقل البيانات الشخصية إلى الخارج. ويوقّع Ajansify العقود القياسية المناسبة مع معالجيه الفرعيين، ويُخطر هيئة حماية البيانات الشخصية خلال المدة القانونية حيثما كان هو المسؤول عن الإخطار. وحيثما يقتضي القانون أن يكون العميل طرفًا، يوافق العميل على توقيع العقد القياسي ذي الصلة.
• البلدان الأخرى. حيثما تقتضي قوانين أخرى ضمانات للنقل، يطبّق الطرفان الضمانات التي تقتضيها تلك القوانين.
• في حال التعارض بين البنود التعاقدية القياسية وهذه الاتفاقية، تسود البنود التعاقدية القياسية.

15. طلبات السلطات

إذا تلقينا طلبًا ملزمًا قانونًا من إحدى السلطات بشأن البيانات الشخصية للعميل، نُعلم العميل بذلك ما لم يحظر القانون ذلك، ولا نُفصح إلا عن الحد الأدنى المطلوب، ونطعن في الطلبات التي تبدو غير مشروعة أو مفرطة حيثما كان ذلك معقولًا.

16. المسؤولية

تخضع مسؤولية كل طرف الناشئة عن هذه الاتفاقية أو المتعلقة بها لقيود المسؤولية واستثناءاتها الواردة في الشروط، إلا حيثما لا يجيز قانون حماية البيانات المعمول به، بما في ذلك البنود التعاقدية القياسية، مثل هذا التقييد.

17. المدة والأولوية والتغييرات

• تسري هذه الاتفاقية طوال مدة معالجة Ajansify للبيانات الشخصية للعميل، بما في ذلك بعد انتهاء الشروط وحتى الحذف وفقًا للبند 12.
• في حال التعارض فيما يتعلق بحماية البيانات، تسود البنود التعاقدية القياسية على هذه الاتفاقية، وتسود هذه الاتفاقية على الشروط.
• يجوز لنا تحديث هذه الاتفاقية لتعكس التغييرات في القانون أو المعالجين الفرعيين أو الخدمة. ونُخطر بالتغييرات الجوهرية مسبقًا عبر البريد الإلكتروني أو داخل التطبيق. وتتطلب التغييرات التي تُخفض المستوى العام لحماية البيانات الشخصية للعميل موافقةَ العميل.
• باستثناء البنود التعاقدية القياسية، تخضع هذه الاتفاقية للقانون والاختصاص القضائي المحددين في الشروط.

الملحق (أ) – تفاصيل المعالجة

الملحق (ب) – التدابير التقنية والتنظيمية

• التشفير أثناء النقل: HTTPS/TLS للاتصالات بالخدمة وللاستدعاءات الموجهة إلى المعالجين الفرعيين.
• بيانات الاعتماد والمفاتيح: تُخزَّن كلمات المرور بصيغة مُجزّأة (hash) فقط؛ وتُخزَّن مفاتيح الوصول إلى الخدمات المرتبطة بصيغة مشفّرة.
• التحكم في الوصول: صلاحيات قائمة على الأدوار والعلامات التجارية داخل حسابات العملاء؛ ووصول داخلي وفق مبدأي الحاجة إلى المعرفة والحد الأدنى من الصلاحيات؛ ووصول إداري مقصور على الموظفين المصرح لهم.
• الفصل: تُفصل بيانات العملاء منطقيًا حسب الحساب.
• التوافر: نسخ احتياطي منتظم؛ واستضافة في مراكز بيانات في ألمانيا تشغّلها Contabo.
• التسجيل والمراقبة: يُحتفظ بسجلات الأمان والوصول لمدة سنتين؛ ويُحتفظ بسجلات مهام الذكاء الاصطناعي لمدة تصل إلى سنة واحدة مع تقييد الوصول إليها.
• أمن الشبكة: وكيل Cloudflare والحماية من الهجمات، وحدود معدل الطلبات، والتحقق من برامج الروبوت.
• تقليل البيانات: تُحذف النسخ المؤقتة على الخادم بعد كل مهمة؛ وتتولى مؤسسة الدفع معالجة بيانات البطاقات، لا Ajansify؛ ولا يتم الوصول إلا إلى الملفات السحابية التي يحددها العميل، وبنطاقات أذونات ضيقة.
• إدارة المعالجين الفرعيين: عقود مكتوبة؛ واستخدام مزودي الذكاء الاصطناعي عبر خدمات الأعمال (API) دون التدريب على البيانات الشخصية للعميل.
• إدارة الحوادث: معالجة الخروقات والإخطار بها على النحو المبيّن في البند 11.
• الموظفون: التزامات بالسرية؛ وإلغاء الوصول عند انتفاء الحاجة إليه.
• الحذف: إجراءات الحذف على النحو المبيّن في البند 12.

الملحق (ج) – المعالجون الفرعيون

تُنشر القائمة الحالية للمعالجين الفرعيين، وأغراضهم، ومواقعهم، وضمانات النقل في صفحة مزودو الخدمات والمعالجون الفرعيون.